サイバー犯罪
Unit 42、多数の業界でネットワーク侵害を調査
QilinやIncなど複数のランサムウェアグループが、Palo Alto Networks製PAN-OSの重大度の高い認証バイパスの脆弱性を悪用しています。Unit 42は6月上旬以降、金融、医療、製造業など多数の業界で発生した攻撃を調査しています。
この脆弱性「CVE-2026-0257」は、PAN-OSのGlobalProtectポータルとゲートウェイに影響します。攻撃者がセキュリティ制限を回避し、不正なVPN接続を確立できる恐れがあります。
同社は5月13日にこの脆弱性を公表し、パッチを公開しました。当初の深刻度は「中」で、悪用の試みは把握しているものの、実際の悪意ある悪用は確認していないとしていました。
しかし状況はすぐに変わりました。月末までにRapid7の研究者が、少なくとも5月17日にさかのぼる複数の顧客環境で悪用が成功していることを確認したと報告しています。
月曜日、Palo Alto Networksのコンサルティング・インシデント対応部門であるUnit 42は、QilinやIncをはじめとするランサムウェア集団がこの脆弱性への攻撃を続けていると発表しました。
Unit 42で脅威インテリジェンス担当シニアディレクターを務めるAndy Piazza氏は、「攻撃者はこの脆弱性を悪用して企業ネットワークへの最初の足がかりを築き、その後、多要素認証（MFA）を回避してVPNセッションを確立しています」と説明しました。
Piazza氏は、攻撃者は初期アクセスの後、リモートデスクトッププロトコル（RDP）やServer Message Block（SMB）を使ってネットワーク内を横展開すると警告しています。さらに認証情報の窃取やデータ窃取のためのマルウェアを追加で投下し、最終的にランサムウェアを展開します。
Unit 42は継続中の調査で、ランサムウェア集団が「教育、金融サービス、医療、ハイテク、宿泊、製造、専門サービス・法務サービス、政府、運輸・物流、公益・エネルギー、卸売・小売など、多数の業界」に感染させている状況を確認しました。
Palo Alto Networksは、感染した組織の数など、攻撃に関するThe Registerの問い合わせに回答していません。
加えて、ReliaQuestのインテリジェンスアナリストは、Settraランサムウェアの運営者を含む「複数の脅威グループ」も、この脆弱性を悪用して不正なVPNセッション経由で企業ネットワークへの初期アクセスを得ていると警告しました。
Piazza氏は「CVE-2026-0257の悪用成功後の戦術・技術・手順（TTP）で最も顕著な変化は、仮想化レイヤーへ直接ピボットする点です」と記しています。「ある注目すべき事例では、攻撃者は侵害したVPNゲートウェイからvCenter管理アプライアンスへ移動しました。そこからESXiハイパーバイザーのセキュリティ制御（execInstalledOnly）を無効化し、独自ツールを使ってドメインコントローラーの仮想ディスク（VMDK）に対し、オフラインで認証情報をダンプしました」
同氏によると、この手口ではゲスト内のエンドポイント検知・対応（EDR）製品を回避でき、ドメイン全体の認証情報を盗む「非常に高度な手法」にあたります。
Unit 42は、初期アクセスに使うこの攻撃コードを他の脆弱性と組み合わせる事例も確認しています。たとえば、Veeamのバックアップ基盤を標的とするCVE-2023-27532です。
脆弱なPAN-OSをまだ更新していない場合は、今すぐパッチを適用してください。あわせて、すでに攻撃者がネットワークに侵入していないかも調査する必要があります。脅威ハンティングの際は、Unit 42が公開している侵害指標（IoC）を参照してください。®
